
¡Mi aspiradora 


robot llama a China! 



taiwan 





¡Mi aspiradora robot llama a China! 





Me compré un robot aspirador 


• Control desde el móvil (por WiFi) 

- potencia de aspiración 

- modo fregona 

- modo de limpieza 

- control manual 

- activar/desactivar sonido 

• Genera mapas 

- más rápido y eficiente que los aleatorios 







Primer problema: condiciones de 


uso 


los datos personales que recabamos sobre usted son su correo 
electrónico y la dirección IP del dispositivo móvil. [...] También 
recogemos el numero de serie del robot [...] podrá tener acceso al 
mapeado que su robot aspirador registra en su memoria interna 
[...] En ningún caso [...] geolocaliza el producto. [...] La empresa 
desarrolladora de la aplicación móvil es [...], empresa ubicada 
en la República Popular de China [...] Esta empresa [...] se 
ubica en un tercer país ajeno al Espacio Económico Europeo cuya 
legislación en materia de protección de datos no garantiza 
un nivel de protección adecuado conforme al reglamento (UE) 
2016/679 








|¡ Segundo problema: permisos de la app 


• Hacer fotografías y grabar vídeos 

• Leer, modificar o eliminar contenido de la tarjeta SD y la memoria interna 

• Grabar audio 

• Ubicación precisa (GPS) 

• Llamar directamente a números de teléfono 

• Acceso completo a Internet 

• Ejecutarse al inicio 

• Obtener datos del propietario 

• Obtener la lista de procesos 

• Leer los logs del sistema 


(Retirada en API 9 por ser peligrosa) 


(Retirada en API 21 por ser peligrosa) 


(Not for use by third-party applications, because Log entries can contain the user's prívate ¡nformation.) 


No puede instalarse en tablets desde Google Play 







¿Pero lo hacen realmente? 


No necesariamente, pero... 






¿Pero lo hacen realmente? 


No necesariamente, pero... queda feo. 


"La mujer del César 
no sólo ha de ser buena y virtuosa, 


también ha de parecerlo" 






Por si fuera poco 


• Depende de un servidor exterior 

- Puede fallar Internet 

- Puede fallar el servidor 

- La empresa puede cerrar 

- La empresa puede apagar el servidor 


Toca arremangarse 






Instalando la app en una tablet 


No podemos utilizar Google Play 

• Borrar la tablet 

• Usar correo-e virgen 

• Descargar el APK 

• Desactivar "orígenes de terceros" 

• Instalar el APK 







Proceso de emparejado WiFi 


• La aspiradora se convierte en 
AP WiFi 

- SSID CongaGyro XXXXXX 

- IPs 192.168.4.YYY 

• Escaneamos los puertos 


















Conexión al puerto 80 





No es suficiente 
Solución 


SSID: 


PASSWORD: 


CONNECT 


montar punto de acceso 
CongaWifi_123456 en RPi 

lanzar 'nc -I -p 80 ' 

usar la app oficial para 
emparejar 














Resultados de emparejamiento 


GET /robot/getRobotlnfo.do? 

ssid=AAAAAAAA&pwd=BBBBBBBB&jDomain=bl-app- 

eu.robotbona.com&jPort=8082&sDomain=bl-im- 

eu .robotbona.com&sPort=20008&cleanSTime=5 HTTP/1.1 

User-Agent: blapp 

Accept: application/json 

Host: 192.168.4.1 

Connection: Keep-Alive 

Accept-Encoding: gzip 


HTTP/1.0 200 OK 


"result":"0", 

"msg":"OK", 

"versión":"1.0", 

"data":{ 

"deviceld":"zzzzzzzzzzzzzz", 

"deviceType":"1", 

"appKey": "yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy", 
"authCode":"xxxxxx", 

"errorCode":"Oxnnnnnnnn" 

} 

} 


Escaneo de puertos en la aspiradora... 







Resultados de emparejamiento (2) 


¡¡¡El puerto 8888 está abierto!!! 









Analizando las comunicaciones 


• Es difícil esnifar una WiFi 

- adaptador que acepte modo promiscuo 

- configuración liosa 







Analizando las comunicaciones 


Es difícil esnifar una WiFi 


- adaptador que acepte modo promiscuo 

- configuración liosa 

Más sencillo: montar un AP con una RPi 

- Todo el tráfico para por el AP siempre 

- Permite aislar el robot de Internet 

- Captura con TCPDUMP 

- Análisis con Wireshark 

















Analizando las 


comunicaciones 


Tras emparejar con el nuevo AP... ¡el puerto 8888 ha 
desaparecido! 













Analizando las comunicaciones 


Tras emparejar con el nuevo AP... ¡el puerto 8888 ha 
desaparecido! 



Ya lo investigaremos más tarde... 












Entrando en harina 


• Activamos NAT en AP 

• Iniciamos TCPDUMP en AP 

• Encendemos el robot y la tablet 

• Lanzamos comandos 

- limpiar 

- parar 

- volver a la base 

- modo de limpieza... 

• Paramos TCPDUMP 

• Abrimos Wireshark 



x 


datos emparejamiento y escaneado de puertos.pcap 


Archivo Edición Visualización |r Captura Analizar Estadísticas Telefonía Wireless Herramientas Ayuda 


A • á @ B "] 1 H Q l . 


I¡ Q Ú E 


I jjst -- 192.168.18.14 S.S. ip.src ==192.168.18.11) || [ip.src -- 47.91.67.181 && ip.dst -- 192.168.18.14) [| ¡ip.dst == 47.91.67.181 && ip.src == 192.168.1814)^ 


No. ' Time 

11897 333.680124 


Source 

192.168.18.14 


Destination 

47.91.67.181 


Protocol Length Info 
TCP 54 16892 


11900 333.691358 192.168.18.14 


47.91.67.181 


11901 333.734969 47.91.67.181 


192.168.18.14 


[FIN, ACK] Seq=469 Ack=411 Win 

[SYN] Seq=0 Win=5840 Len=l 


11902 333.749370 47.91.67.181 


192.168.18.14 


11903 333.755879 

11904 333.760219 

11905 333.815505 

11906 333.820609 

11907 333.875214 

11908 333.885561 

11909 333.955170 


54 80 - 16892 [ACK] Seq=411 Ack=470 Win=3108 

58 20008 - 19492 [SYN, ACK] Seq=0 Ack=l Win= 


192.168.18.14 47.91.67.181 TCP 5419492 - 20008 [ACK] Seq=l Ack=l Win=5840 

192.168.18.14 47.91.67.181 TCP 74 19492 - 20008 [PSH, ACK] Seq=l Ack=l Win= 

47.91.67.181 192.168.18.14 TCP 5420008-19492 [ACK] Seq=l Ack=21 Win=2920 

192.168.18.14 47.91.67.181 TCP 40319492-20008 [PSH, ACK] Seq=21 Ack=l Win 

47.91.67.181 192.168.18.14 TCP 5420008-19492 [ACK] Seq=l Ack=370 Win=300 

47.91.67.181 192.168.18.14 TCP 153 20008 - 19492 [PSH, ACK] Seq=l Ack=370 Wi 

192.168.18.14 47.91.67.181 TCP 74 19492 - 20008 fPSH. ACKl Sea=37B Ack=100 . 


Frame 11913: 478 bytes on wire (3824 bits), 478 bytes captured (3824 bits) 

Ethernet II, Src: Espressi_d6:b9:92 (84:f3:eb:d6:b9:92), Dst: Raspberr_22:c2:cd (dc:a6:32:22:c2:cd) 
Internet Protocol Versión 4, Src: 192.168.18.14, Dst: 47.91.67.181 

Transmission Control Protocol, Src Port: 19492, Dst Port: 20008, Seq: 390, Ack: 100, Len: 424 
Data (424 bytes) 
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9 y datos emparejamiento y escaneado de puertos.pcap Paquetes: 17950 • Mostrado: 95 (0.5%) Perfil: Default 


































Analizando las comunicaciones 


• dos conexiones HTTP desde el robot a 

bl-app-eu. robotbona.com 

• una conexión (permanente) desde el robot al puerto 
20008 de bl-im-eu. robotbona.com 

• conexión cifrada entre tablet y servidor 
- pasamos de ella 







Analizando las comunicaciones 


• dos conexiones HTTP desde el robot a 

bl-app-eu. robotbona.com 

• una conexión (permanente) desde el robot al puerto 
20008 de bl-im-eu. robotbona.com 

• conexión cifrada entre tablet y servidor 
- pasamos de ella 

• ¡No hay comunicación entre la tablet y el robot! 








Analizando las comunicaciones 


• Primera conexión HTTP 

- formato URLEncoded 

appKey=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 

deviceld=yyyyyyyyyyyyyyy 

deviceType=l 

clearTime=0 

* Respuesta 

- formato Chunked 


2b 

{"msg":"ok","result":"0","versión":"1.0.0"} 

0 









Analizando las comunicaciones 


Segunda conexión HTTP 

- formato URLEncoded 


appKey=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 

authCode=zzzzz 

deviceld=yyyyyyyyyyyyyy 

deviceType=l 

funDefine=11101 

nonce str=AAAAA 

version={"wifi":"1.0.48","mcu":"3.9.1714(513)"} 
sign=SSSSSSSSSSSSSSSSSSSSSSSSSSSSSSSS 


* Respuesta 

- formato Chunked 


2b 

{"msg":"ok","result":"0","versión":"1.0.0"} 
0 









Analizando las 


comunicaciones 


* Segunda conexión HTTP 

- formato URLEncoded 


appKey=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 

authCode=zzzzz 

deviceld=yyyyyyyyyyyyyy 

deviceType=l 

funDefine=11101 

nonce str=AAAAA 

version={"wifi":"1.0.48","mcu":"3.9.1714(513)"} 
sign=SSSSSSSSSSSSSSSSSSSSSSSSSSSSSSSS 


• Respuesta 

- formato Chunked 


2b 

{"msg":"ok","result":"0","versión":"1.0.0"} 
0 


Tras esto, sigue en el puerto 20008 








Suplantando al servidor HTTP 


• Construimos un miniservidor HTTP en python 

• netcat en puerto 20008 

• Suplanta al servidor oficial -> mismas respuestas 

• Modificamos nuestro DNS 







Suplantando al servidor HTTP 


• Construimos un miniservidor HTTP en python 

• netcat en puerto 20008 

• Suplanta al servidor oficial -> mismas respuestas 

• Modificamos nuestro DNS 

• ¡¡¡NO FUNCIONA!!! 








Suplantando al servidor HTTP 


• Construimos un miniservidor HTTP en python 

• netcat en puerto 20008 

• Suplanta al servidor oficial -> mismas respuestas 

• Modificamos nuestro DNS 

• ¡¡¡NO FUNCIONA!!! 

• Cambiamos campos y formatos para hacerlos idénticos 
byte a byte 








Suplantando al servidor HTTP 


• Construimos un miniservidor HTTP en python 

• netcat en puerto 20008 

• Suplanta al servidor oficial -> mismas respuestas 

• Modificamos nuestro DNS 

• ¡¡¡NO FUNCIONA!!! 

• Cambiamos campos y formatos para hacerlos idénticos 
byte a byte 

• ¡¡¡SIGUE SIN FUNCIONAR!!! 









Por qué falla 


• Espera los datos en un único paquete IP 

HTTP/1.1 200 \r\n 

Date: Sat, 27 Jun 2020 16:38:08 GMT\r\n 
Contení-Type: application/j son;charset=UTF-8\r\n 
Transfer-Encoding: chunked\r\n 
Connection: close\r\n 

Set-Cookie: SERVERID=abcdefghijklmnopqrstuvwxyzl2345|1234567890|12345678 

\r\n 

2b\r\n 

{"msg":"ok","result": "0","versión":"1.0.0"}\r\n 


0\r\n 

\r\n 








• Yo los enviaba en dos paquetes separados 

HTTP/1.1 200 \r\n 

Date: Sat, 27 Jun 2020 16:38:08 GMT\r\n 
Contení-Type: application/json;charset=UTF-8\r\n 
Transfer-Encoding: chunked\r\n 
Connection: close\r\n 

Set-Cookie: SERVERID=abcdefghijklmnopqrstuvwxyzl234511234567890|12345 
\r\n 


2b\r\n 

{"msg":"ok","result":"0","versión":"1.0.0"}\r\n 

0\r\n 

\r\n 








• En TCP debería dar igual hacerlo de cualquiera de las 
dos maneras 

• ¿Protección contra hackeos? ¿Chapuza? 






Por qué falla (3) 


• En TCP debería dar igual hacerlo de cualquiera de las 
dos maneras 

• ¿Protección contra hackeos? ¿Chapuza? 










Analizando las comunicaciones 

• Datos en puerto 20008 

- 369 bytes: 20 bytes + JSON 


71 01 00 00 | 10 00 00 00 | 01 00 00 00 | 02 00 00 00 | 00 00 00 00 

{ 

''version":"1.0'', 

"control":{ 

"targetld":"0", 

"targetType":"6", 

"broadcast":"0" 

}, 

"valué":{ 

"token":"bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb", 

"deviceid": "yyyyyyyyyyyyyy". 

"appKey":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", 

"deviceType":"1", 

"authCode":"zzzzz", 

"devicelp":"192.168.18.3", 

"devicePort":"8888", 

"firmwareVer": "{\"wifi\" :\"1.0.48\" ,\''mcu\" :\"3.9.1714(513)\"}" 


Respuesta Servidor: 99 bytes, 
mismo formato 

63 00 00 00 | 11 00 c8 00 | 01 00 00 00 | 02 00 00 00 | 00 00 00 00 

{ 

"msg":"login succeed", 

"result":0, 

"versión":"1.0", 

"time":"2020-06-21-04-59-39" 


} 









Analizando las 


comunicaciones 


• Datos en puerto 20008 

- 369 bytes: 20 bytes + JSON 


71 01 00 00 | 10 00 00 00 | 01 00 00 00 | 02 00 00 00 | 00 00 00 00 

{ 

''version":"1.0'', 

"control":{ 

"targetld":"0", 

"targetType":"6", 

"broadcast":"0" 

}, 

"valué":{ 

"token":"bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb", 

"deviceid": "yyyyyyyyyyyyyy". 

"appKey":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", 

"deviceType":"1", 

"authCode":"zzzzz", 

"devicelp":"192.168.18.3", 

"devicePort":"8888", 

"firmwareVer": "{\"wifi\":\"1.0.48\",\"incu\":\"3.9.1714(513)V'}" 


Respuesta Servidor: 99 bytes, 
mismo formato 


63 

00 00 00 | 11 00 c8 00 | 01 00 00 

00 | 02 00 00 00 | 00 00 00 00 

{ 

"msg":"login succeed", 

"result":0, 



"versión":"1.0", 

"time":"2020-06-21-04-59-39" 


} 




¡¡¡¡El puerto 8888 vuelve a estar abierto!!!! 


> 







Siguiente paquete 


Envío: 444 bytes 


be 01 00 00 | 18 00 00 00 | 01 00 00 00 | 03 00 00 00 | 00 00 00 00 

{ 

"versión":"1.0", 

"control": { 

"targetld":"0", 

"targetType":"6", 

"broadeast":"0" 

}, 

"valué": { 

"noteCmd":"102", 

"workState":"6", 

"workMode":"0", 

"fan":"1", 

"direction":"0", 

"brush":"2", 

"battery":"100", 

"voice":"2", 

"error":"0", 

"standbyMode":"1", 

"waterTank":"40", 

"clearComponent":"0", 

"waterMark":"0", 

"versión":"3.9.1714(513)", 

"attract":"0", 

"devicelp":"192.168.18.14", 

"devicePort":"8888", 

"cleanGoon":"2", 

"extParam": "{V'cleanModuleV :\"3\"}" 

} 


Respuesta: 60 bytes 


3c 00 00 00 | 19 00 c8 00 | 01 00 00 00 | 03 00 00 00 | 01 00 00 00 
{ 

"msg":"0K", 

"result":0, 

"versión":"1.0" 

}\n 






Siguientes paquetes 


Envío: 20 bytes (sin JSON) 

Respuesta: 20 bytes (sin JSON) 

Intervalo de envío: 30 segundos por cada par -> PING 

14 00 00 00 | 00 01 c8 00 | 01 00 00 00 | 04 00 00 00 | e7 03 00 00 
14 00 00 00 | 11 01 c8 00 | 01 00 08 01 | 04 00 00 00 | e7 03 00 00 
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14 00 00 00 | 00 01 c8 00 | 01 00 00 00 | 06 00 00 00 | el 03 00 00 
14 00 00 00 | 11 01 c8 00 | 01 00 08 01 | 06 00 00 00 | el 03 00 00 







Í Aparece un patrón 
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Aparece un patrón 


71 01 00 00 
/ 

63 00 00 00 

í 

be 01 00 00 
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3c 00 00 00 
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f Aparece un patrón 


71 01 00 00 
/ 

63 00 00 00 

í 

be 01 00 00 

{ 

3c 00 00 00 
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Número de 
secuencia 


No es CRC 
¿Tipo de paquete? 

























Í Aparece un patrón 


Tamaño de la trama 


71 01 00 00 
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Número de 
secuencia 


No es CRC 
¿Tipo de paquete? 






















f Aparece un patrón 


Tamaño de la trama 


Indica origen y 
pregunta/respuesta 
¿Tipo de paquete? 
No es CRC 
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secuencia 


No es CRC 
¿Tipo de paquete? 





















Buscando comandos 


• Programa específico para separar tramas 

• Buscamos los comandos: 


di 00 00 00 I fa 00 c8 00 | 00 00 09 01 | la 27 00 00 | 00 00 00 00 

{ 

"cmd":0, 

"control":{ 

"authCode":"240727", 

"devicelp":"192.168.18.3", 

"devicePort":"8888", 

"targetld":"zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz", 

"targetType":"3" 

}, 

"seq":0, 

"valué":{"transitCmd":"ID_C0MAND0"} 

}\n 








Comandos encontrados 


98: actualizar estado 

• 131 

actualizar mapa 

100: limpiar 

• 143 

encontrar al robot 

102: parar 

• 145 

modo de fregado 

104: volver a base 

• 400 

lista de programas 

106: modo de limpieza 

• 402 


108: control manual 

añadir programa 

110: potencia de aspirado 
123: activar pitidos 

125 desactivar pitidos 

• 404 

borrar programa 









Comandos encontrados 


• 98: actualizar estado 

• 100: limpiar 

• 102: parar 

• 104: volver a base 

• 106: modo de limpieza 

• 108: control manual 

• 110: potencia de aspirado 

• 123: activar pitidos 

• 125 desactivar pitidos 


131: actualizar mapa 
143: encontrar al robot 
145: modo de fregado 
400: lista de programas 
402: añadir programa 

404: borrar programa 
139: actualizar la hora 
127: actualizar el firmware 








Estado del robot 


be 01 00 00 I 18 00 00 00 I 01 00 00 00 | la 00 00 00 | 00 00 00 00 

{ 

"versión" :" 1 . 0 ", 

"control":{ 

"targetld":"0", 

"targetType":"6", 

"broadeast":"0" 

},"valué":{ 

"noteCmd":"102", 

"workState":"5", 

"workMode":"0", 

"fan":"2", 

"direction":"0", 

"brush":"2“, 

"battery":"100", 

"voice":"1", 

"error":"0", 

"standbyMode":"1", 

"waterTank":"40", 

"clea rComponent":" 0 ", 

"waterMark":"0", 

"version":"3.11.416(513)", 

"attract":"0“, 

"devicelp":"192.168.18.3", 

"devicePort":"8888", 

"cleanGoon":"2", 

"extParam": "{V'cleanModuleV :\"3\">" 

} 

} 









/A 




| Mapas 


"versión": "1.0", 

"control": { 

"targetld": "0", 

"targetType": "6", 

"broadcast": "0" 

}, 

"valué": { 

"noteCmd": "101", 

"clearArea": "0", 

"clearTime": "10", 

"clearSign": "2020-06-24-01-31-41-2", 

"clearModule": "11", 

"isFinish": "1", 

"chargerPos": "8,12", 

"map": "AAAAAAAAZABk0vwAaoDXAGpAlwBqgNcAqNL8AA==", 
"track": "AQAEADIxMzExMTEy" 

} 


} 


Codificación RLE 
Zonas recorridas 
Posición de la base 











Control manual 


• Se conecta al puerto 8888 (¡por fin!) 


• Protocolo parecido... pero no idéntico 
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Control manual (2) 


• Problemas 


- ¿qué pasa con números mayores de OxFFFF? 

- Es un rollo abrir un nuevo socket 
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Control manual (3) 


• ¿Es posible controlarla desde el servidor? 

- raro: no vamos a controlarla desde el bar 

- legítimo: podemos tener varias WiFis en casa 

• móvil conectado a una, robot a otra 






Control manual (3) 


• ¿Es posible controlarla desde el servidor? 

- raro: no vamos a controlarla desde el bar 

- legítimo: podemos tener varias WiFis en casa 

• móvil conectado a una, robot a otra 


i i i i i i ¡Se puede!!!!!!! 








Control manual (4) 


• Comando 108, más parámetro de dirección 

- tiene que enviarse repetidamente cada dos segundos 

- dirección 1 -> avanzar 

- dirección 2 -> retroceder 

- dirección 3 -> girar a la izquierda 

- dirección 4-> girar a la derecha 


dirección 5 -> detenerse 






fl La nueva APP 


Hecha en python 
Control por web (javascript) 
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App para Android 


Basada en WebView 

Utiliza uPnP para encontrar el servidor 

- módulo iot-upnp de python en servidor 

- código a pelo en la app 

- se basa sólo en el UUID 
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f Problema de carga de la batería 


• Comportamiento extraño del robot si lleva mucho 
tiempo en la base 

- se queda sin batería al poco de empezar a aspirar 

- cambia de "cargando" a "cargado” y viceversa cada quince 
segundos 

- nivel de batería baja progresivamente en lugar de cargar 






Problema de carga de la batería 



100000 


200000 


300000 


400000 


500000 
























Problema de carga de la batería 


























































































Problema de carga de la batería 



41900 


41950 


42000 


42050 


42100 











Problema de carga de la batería 


• Cuando lleva mucho rato en la base, la batería empieza 
a descargarse 

• Conmuta de estado cada quince segundos (aprox) 

- "cargado", 100% batería 

- "cargando”, <85% batería (y bajando) 






Problema de carga de la batería 


• Cuando lleva mucho rato en la base, la batería empieza 
a descargarse 

• Conmuta de estado cada quince segundos (aprox) 

- "cargado", 100% batería 

- "cargando”, <85% batería (y bajando) 

• Solución: quitarla de la base y volverla a poner 

- vuelve a cargar la batería y aguanta de nuevo un día (aprox) 







f Problema de carga de la batería 


• Cuando lleva mucho rato en la base, la batería empieza 
a descargarse 

• Conmuta de estado cada quince segundos (aprox.) 

- "cargado", 100% batería 

- "cargando", <85% batería (y bajando) 

• Solución: quitarla de la base y volverla a poner 

- vuelve a cargar la batería y aguanta de nuevo un día (aprox.) 


i i i i ¡SE PUEDE AUTOMATIZAR!!!!! 








Actualización del firmware 


• Obliga a utilizar la app original 

• Implica conectar el robot a Internet 







Actualización del firmware 


• Obliga a utilizar la app original 

• Implica conectar el robot a Internet 
- roooolloooooo 







Actualización del firmware 


• Obliga a utilizar la app original 

• Implica conectar el robot a Internet 

- roooolloooooo 

• Alternativa: crear un emulador de robot 

- Se conectaría al servidor del fabricante 

- Simularía ser mi robot 

- Nunca enviaría datos privados 







Emulador de robot 



Riesgo de problemas legales 








f Emulador de robot 


• Como mínimo, zona gris 

- Nos estamos conectando a un servidor que no es nuestro 

- Protocolo no estándar (=desconocido) 

• ¿Qué hacer ante un paquete desconocido? 

- No sabemos la calidad de su programación 

• ¿Y si metemos la pata y se cuelga? 

• Riesgo de dejar al resto de usuarios sin servicio 






Emulador de robot 


¡¡¡¡Descartado!!! 





¡Mi aspiradora robot llama a China! 


Gracias por vuestra atención 






